Balance · Documents
← All legal documents

Balance — Padrões de Segurança Infantil

Effective date: 19 July 2026 Last updated: 19 July 2026

Revisado anualmente: próxima revisão programada até 9 de junho de 2027.

Esta é a declaração pública de Padrões de Segurança Infantil publicada pela BabaYaga Program, TOO ("BabaYaga Program", "nós", "nosso") para o aplicativo Android Balance (pacote com.babayagaprogram.balance). Ela satisfaz o requisito de normas publicadas do programa "Child Safety Standards" da Google Play Families Policy e as obrigações equivalentes sob a lei federal dos EUA (18 U.S.C. § 2258A; a Trafficking Victims Protection Act), o UK Online Safety Act 2023 (Part 5), o Online Safety Act 2021 da Austrália, o Digital Services Act da UE (Regulamento (UE) 2022/2065) quando aplicável, e os estatutos de proteção ao consumidor de todos os países listados na Seção 18 da nossa Política de Privacidade.

Deve ser lida em conjunto com — e complementada por — nossa Política de Privacidade, nosso Aviso de Privacidade Infantil e Notificação Direta aos Responsáveis, nossos Termos de Serviço, e nossos Termos de Assinatura.

1. Nosso padrão

A BabaYaga Program tem tolerância zero para abuso e exploração sexual infantil ("CSAE") e para material de abuso sexual infantil ("CSAM", conforme definido em 18 U.S.C. § 2256(8) e as definições equivalentes na lei da UE) no ou através do Serviço Balance.

Projetamos o Balance para tornar impossível cometer abuso e exploração sexual infantil através do Serviço, cooperamos totalmente com as autoridades nacionais de segurança infantil e linhas de apoio, e mantemos este padrão em revisão contínua.

2. Contato Designado de Segurança Infantil
Oficial de Segurança Infantil Designado , Diretor, BabaYaga Program, TOO.
Canal público de denúncia — monitorado todos os dias úteis; visa confirmar recebimento dentro de um dia útil.
Canal de privacidade / proteção de dados (para solicitações auxiliares vinculadas a um assunto de CSAE) (também ).
Telefone
Postal BabaYaga Program, TOO, ul. Ongarsynova 10, kv. 175, Esil district, Astana 010000, Cazaquistão.
Representante da UE para consultas de supervisão relacionadas a CSAE Prighter EU Rep GmbH — Schellinggasse 3, 1010 Vienna, Áustria.
Representante do Reino Unido Prighter Ltd (UK) — 20 Mortlake High Street, London SW14 8JN, Reino Unido.

O Oficial de Segurança Infantil tem autoridade pessoal para escalar, contratar assessoria jurídica externa e preservar evidências sob nosso Protocolo Interno de Resposta a Incidentes de CSAE (Seção 9). O Oficial também assina cada relatório que registramos junto a uma linha de apoio nacional ou autoridade de aplicação da lei.

Esta designação, com o indivíduo nomeado, é o ponto de contato exigido pela declaração de Child Safety Standards do Google Play.

3. A realidade arquitetônica sobre a qual o restante desta declaração se baseia

O Balance não é uma rede social. O aplicativo Balance não contém — e não planejamos introduzir — nenhuma das seguintes superfícies:

Não há nenhuma superfície do Balance onde um usuário possa encontrar, contatar, comunicar-se com, ou enviar conteúdo a outro usuário que não esteja na mesma família pareada. A criança usa o Balance apenas com o responsável que pareou o dispositivo da criança.

Além disso, a mídia de prova que a criança carrega para marcar uma tarefa como concluída (Seção 4.3 do Aviso de Privacidade Infantil) é criptografada de ponta a ponta no dispositivo da criança antes de qualquer chamada de rede. O conteúdo em texto simples nunca chega aos nossos servidores e nunca chega ao nosso provedor de armazenamento. Não podemos visualizar, transcrever, criar hash, indexar, ou entregar o conteúdo em texto simples de qualquer mídia de prova. Somente o(s) dispositivo(s) autorizado(s) do responsável pode(m) descriptografá-lo. Esta é a garantia técnica mais forte possível contra o uso indevido do Balance como canal de distribuição de CSAM: não há terceiro que possa descriptografar e redistribuir o conteúdo de nós — não há nada a descriptografar, do nosso lado ou do lado do nosso provedor de armazenamento.

Juntas, essas duas escolhas de design — sem superfície multiusuário, criptografia de ponta a ponta — tornam o Balance categoricamente inadequado para ser um vetor de CSAE. Cada padrão no restante deste documento é fundamentado nessa realidade arquitetônica.

4. A conduta de CSAE que proibimos

Proibimos, no ou através do Serviço Balance:

  1. Produção, posse, transmissão, upload, distribuição, solicitação, pedido, ou compra de CSAM (conforme definido em 18 U.S.C. § 2256(8), na Diretiva da UE 2011/93/UE, no UK Protection of Children Act 1978, e nos estatutos equivalentes de todos os países).
  2. Aliciamento (grooming) de um menor para fins sexuais (conforme definido no Artigo 6 da Diretiva da UE 2011/93/UE; seções 14–15A do UK Sexual Offences Act 2003; as disposições equivalentes de todos os países).
  3. Sextorsão de um menor.
  4. Tráfico de menores e a exploração sexual de menores traficados.
  5. A compra, venda, troca, ou transmissão em direto de conteúdo sexualmente explícito retratando menores.
  6. Qualquer promoção, normalização, glorificação, ou facilitação de qualquer um dos itens acima — incluindo conteúdo instrucional, "tutoriais", comunidades, ferramentas de descoberta de contato, serviços de criptografia direcionados a infratores, ou conteúdo do tipo "como fazer" que facilite o contato com um menor para fins sexuais.

Qualquer um dos itens acima, tentado no ou através do Balance, é uma violação material dos nossos Termos de Serviço (Seção 8) e é motivo para suspensão imediata, encerramento da conta, preservação total de dados, e um relatório obrigatório à autoridade nacional competente sob a Seção 8 abaixo.

Os padrões se aplicam independentemente de a pessoa que praticou a conduta ser o responsável na conta, a criança no dispositivo pareado, um terceiro que obteve acesso a qualquer um dos dispositivos, ou um membro do lar que recebeu acesso do responsável.

5. Como o Balance previne a conduta proibida (os controles do lado do design)

Cada controle abaixo é publicado como parte deste Padrão para que possa ser auditado em relação ao comportamento no aplicativo.

5.1 Nenhuma superfície multiusuário

Não há lugar no Balance onde um usuário possa publicar conteúdo visível para um usuário em outro lar. Não há chat. Não há descoberta entre lares. Não há nada público. Os dados da criança são visíveis apenas para o responsável que pareou o dispositivo da criança. Ver Seção 3.

5.2 Mídia de prova somente por captura — sem seletor de galeria, sem conteúdo entrante

Quando uma tarefa exige prova em foto ou vídeo, o dispositivo da criança abre a câmera em modo de captura. Não há seletor de galeria, então um terceiro não pode induzir a criança a carregar imagens pré-existentes no Balance, e o responsável não pode enviar imagens para o dispositivo da criança através do Balance. O caminho de captura é de mão única (criança → armazenamento criptografado → responsável).

5.3 Criptografia de ponta a ponta com chave por arquivo

Cada arquivo de prova é criptografado no dispositivo da criança com uma chave nova por arquivo (XChaCha20-Poly1305) encapsulada para a chave pública X25519 de cada dispositivo autorizado do responsável, antes de qualquer chamada de rede. A chave nunca deixa o dispositivo desencapsulada. Isso significa: mesmo um comprometimento de subprocessador produz apenas texto cifrado; um ator do lado do servidor não pode extrair texto simples; não estamos em posição de redistribuir, monetizar, ou de outra forma usar indevidamente a mídia de prova da criança. Ver Seção 9 da Política de Privacidade.

5.4 Tudo condicionado ao responsável

Cada decisão de consentimento no Balance é tomada pelo responsável (um adulto verificado) em nome da criança. A criança não se inscreve, não vê documentos legais, e não consente com nenhum processamento de dados. O fluxo de pareamento é iniciado pelo responsável; o dispositivo da criança não pode se juntar a uma conta de responsável sem um código de convite gerado pelo responsável.

5.5 Sem publicidade, sem perfilamento, sem mecânicas de estímulo direcionadas à criança

Não há publicidade no Balance. Não há design de maximização de engajamento direcionado à criança, sem reprodução automática, sem rolagem infinita, sem sequências como pressão, sem algoritmo de recomendação, sem fluxo de notificações que funciona enquanto a criança não está usando ativamente o aplicativo para um propósito de controle parental. Isso priva um infrator de toda superfície de padrão sombrio que é tipicamente explorada para atrair um menor a um engajamento prolongado.

5.6 Higiene estrita de permissões no dispositivo da criança

O aplicativo Balance no dispositivo da criança solicita apenas as permissões estritamente necessárias para entregar controles parentais (ver nosso Registro de Permissões). Ele não solicita acesso a: contatos, SMS, registros de chamadas, localização, histórico do navegador, microfone fora da captura explícita de vídeo de prova, galeria, credenciais de redes sociais, ou identificadores biométricos. Um atacante que comprometesse o aplicativo Balance no dispositivo da criança não obteria nenhuma superfície para coletar o grafo social ou a localização da criança.

5.7 Disciplina operacional de registro (logging)

Mídia em texto simples, OTPs em texto simples, credenciais em texto simples, e chaves de criptografia são proibidas em nossos registros por uma regra de revisão de código. Não retemos uma cópia de nenhuma imagem, vídeo, ou fragmento de áudio em nossos registros de servidor.

5.8 Nenhum SDK que pudesse ler o conteúdo da criança

A versão do Balance para a criança incorpora o Firebase Crashlytics apenas para diagnóstico de falhas — configurado conforme o § 6 da Política de Privacidade sem dados de conteúdo da criança, sem SDK de publicidade, sem SDK de atribuição, sem SDK de perfilamento comportamental, e sem SDK de login social direcionado à criança. A lista completa de subprocessadores está no § 6 da Política de Privacidade.

5.9 Responsabilização de subprocessadores

Cada subprocessador que contratamos assina um acordo escrito de processamento de dados que os proíbe de usar qualquer dado que transmitimos para qualquer propósito diferente da execução do serviço para o qual os contratamos. A lista e o que cada subprocessador pode ver estão publicados na Seção 6 da Política de Privacidade e na Seção 7 do Aviso de Privacidade Infantil.

6. O botão "Denunciar uma preocupação" no aplicativo

Fornecemos — ou, onde a implementação ainda está sendo lançada, forneceremos conforme esse lançamento for concluído — um mecanismo de denúncia no aplicativo que permite que qualquer usuário (dispositivo do responsável ou dispositivo pareado da criança) levante uma preocupação relacionada a CSAE de dentro do aplicativo Balance, no local onde a preocupação é observada:

Status na data deste Padrão: o mecanismo de denúncia no aplicativo está programado para ser lançado antes do lançamento público. Durante qualquer intervalo antes que a denúncia no aplicativo entre em vigor, a caixa de e-mail é o canal de denúncia operacional para os usuários, com a mesma meta de confirmação de um dia útil. Não condicionamos uma denúncia de CSAE ao botão no aplicativo.

As denúncias também podem chegar até nós através de qualquer um dos seguintes:

Não retaliaremos contra nenhum denunciante por registrar uma denúncia de boa-fé. Não exigiremos que um denunciante se identifique.

7. Como triamos uma denúncia (o fluxo de trabalho interno de resposta a incidentes)

Cada denúncia de CSAE recebida através de qualquer canal na Seção 6 é tratada sob o seguinte fluxo de trabalho interno:

  1. Confirmar recebimento da denúncia dentro de um dia útil, por escrito, no idioma do denunciante (inglês por padrão; espanhol para denúncias da América Latina; providenciaremos tradução para qualquer outro idioma).
  2. Classificar dentro de 24 horas, como um dos seguintes: (a) suspeita de posse ou distribuição de CSAM; (b) suspeita de aliciamento ou sextorsão de um menor; (c) suspeita de tráfico de menores; (d) outro CSAE; (e) assunto não relacionado a CSAE — redirecionar para a fila correta.
  3. Preservar evidências para qualquer denúncia classificada de (a) a (d): o registro da conta do responsável, o registro da conta da criança, os metadados de pareamento, os metadados de mídia criptografada (nomes de objetos, tamanhos, marcas de tempo no Google Cloud Storage), os registros de servidor relevantes, e qualquer material voluntariamente submetido pelo denunciante. A preservação é por pelo menos o período exigido por 18 U.S.C. § 2258A(h) (90 dias, extensível por mais 90 dias a pedido de agência) e pela regra equivalente no país do usuário denunciado.
  4. Tomar a ação de efeito imediato no mesmo dia, com base na classificação: - Para (a) e (b): suspender a conta do responsável, congelar o dispositivo pareado da criança, bloquear os objetos de mídia criptografada na camada de armazenamento (retenção de objeto no Google Cloud Storage), e preservar a cadeia criptográfica. - Para (c): o mesmo que (a), mais escalada imediata para contatos especializados de aplicação da lei contra tráfico (Seção 10). - Para (d): suspender a conta do responsável; preservar evidências; proceder à investigação.
  5. Investigar com cuidado pelos direitos de cada parte nomeada. A mídia de prova criptografada não é descriptografada por nós como parte da investigação — ver Seção 8 — mas os metadados (Seção 3) são.
  6. Relatar à autoridade nacional competente dentro do prazo legal na Seção 8.
  7. Notificar a família afetada onde isso for consistente com a investigação e com a lei do país (não alertamos um suspeito; notificamos um responsável vítima quando apropriado).
  8. Encerrar o arquivo com uma disposição escrita (no sistema interno de resposta a incidentes) e uma entrada pública de uma linha no relatório anual de transparência (Seção 11).

O Oficial de Segurança Infantil (Seção 2) aprova pessoalmente cada escalada para o passo 6 ou o passo 7.

8. Obrigações nacionais de denúncia e como as cumprimos

8.1 Estados Unidos — 18 U.S.C. § 2258A (CyberTipline / NCMEC)

Onde um usuário do Balance estiver nos Estados Unidos, onde um usuário do Balance for um menor dos EUA, ou onde a jurisdição dos EUA se aplicar de outra forma sob 18 U.S.C. § 2258A e § 2258B, registramos um relatório NCMEC CyberTipline o mais rápido razoavelmente praticável após termos conhecimento real de uma violação aparente de 18 U.S.C. § 2252 (CSAM) ou 18 U.S.C. § 2422(b) (sedução online de um menor). O relatório inclui os metadados disponíveis para nós (e-mail da conta do responsável, data de criação da conta do responsável, metadados da criança, datas de pareamento, metadados de objeto de mídia criptografada, marcas de tempo), as informações do denunciante (onde o denunciante consentiu em ser identificado), a superfície do aplicativo onde o assunto surgiu, e a etiqueta de preservação.

Por que nossos relatórios podem não incluir conteúdo em texto simples. A mídia de prova é criptografada de ponta a ponta (Seção 3 e Seção 5.3). Não somos capazes de anexar uma cópia em texto simples de um arquivo de mídia a um relatório NCMEC porque não temos cópia em texto simples e nenhuma capacidade de produzir uma. O texto cifrado criptografado é sem sentido sem a chave de mídia do responsável, que é mantida somente no(s) dispositivo(s) do responsável (e, se o responsável optou, em um blob do AppData do Google Drive que o responsável pode descriptografar). Incluiremos os metadados do texto cifrado; preservaremos o texto cifrado subjacente pelo período exigido; responderemos a exigências de produção legais direcionadas ao responsável para a chave.

Registramos sob 18 U.S.C. § 2258A(a)(1)(A); nós não geralmente monitoramos ou pesquisamos afirmativamente comunicações de usuários por CSAM sob § 2258A(f), e § 2258A não exige que façamos isso — mas onde temos conhecimento real, o relatório é obrigatório.

8.2 União Europeia

Sob o regime existente de CSAM da UE (Regulamento (UE) 2021/1232 "Regulamento Interino" na medida em que ainda estiver em vigor em 2026, e a proposta de Regulamento CSAE da UE onde tiver sido adotada na data destes Padrões), relatamos à autoridade competente da UE (o Centro da UE sob o novo Regulamento, ou a linha de apoio nacional sob o Regulamento Interino) na mesma base da Seção 8.1: o mais rápido razoavelmente praticável após conhecimento real, com os metadados disponíveis para nós, e com uma explicação escrita de que a mídia de prova é criptografada de ponta a ponta e que o texto simples não está disponível de nossa parte. Cooperamos com linhas de apoio membros do INHOPE em cada estado-membro da UE onde o usuário está localizado.

8.3 Reino Unido

Notificamos a Internet Watch Foundation (IWF) para denúncias de CSAM localizadas no Reino Unido, e cooperamos com a Ofcom sob o Online Safety Act 2023 na medida em que o âmbito da OSA se aplique ao Balance (não somos um serviço de categoria 1; o Balance não é um serviço usuário-para-usuário para os fins da OSA porque não tem superfície multiusuário — mas as disposições de CSAE da OSA se aplicam a provedores dentro do âmbito, e as aplicamos voluntariamente para simetria entre regiões).

8.4 Austrália

Notificamos o eSafety Commissioner em linha com o Online Safety Act 2021 (Cth) e códigos/normas setoriais aplicáveis.

8.5 Outros países

Registramos com a linha de apoio nacional que é membro do INHOPE ou o mecanismo nacional equivalente de proteção infantil. Para os países adicionais onde o Balance é lançado, as rotas nacionais de primeira linha são: Brasil — a linha de apoio SaferNet Brasil e Disque 100 (ECA arts. 240–241-E); Índia — denúncia sob o POCSO Act 2012 e as IT Rules, com a rota NCMEC CyberTipline onde a jurisdição dos EUA se aplicar; Indonésia — o canal de denúncia de conteúdo Komdigi e o KPAI; Coreia do Sul — a Korea Communications Standards Commission (KCSC) e a polícia 112; Japão — o Internet Hotline Center Japan; África do Sul — a linha de apoio do Film and Publication Board e a SAPS; Quênia — Childline Kenya 116 e a DCI; Egito — a Child Helpline 16000. O anexo de país para cada país traz o detalhe. A lista país-a-país dos contatos de linhas de apoio é mantida em nossa Tabela Interna de Roteamento de CSAE por País, revisada em cada revisão anual (Seção 11). A versão atual publicada é referenciada no conjunto de anexos de país em child-safety.html.

8.6 Onde o denunciante também é um solicitante de autoridade pública

Se uma autoridade nacional solicitar dados preservados diretamente, aplicamos nossas regras padrão de produção: cumprimos com uma ordem de produção legal e devidamente emitida; contestamos solicitações que excedam a autoridade legal; somos transparentes no relatório anual (Seção 11) sobre o número, tipo, e resultado de tais solicitações, na medida em que a lei nos permita publicar esses números.

9. Protocolo de Resposta a Incidentes de CSAE — compromissos internos

Além do fluxo de trabalho de triagem de denúncias na Seção 7, nos comprometemos internamente com os seguintes invariantes operacionais. O Oficial de Segurança Infantil (Seção 2) é responsável por cada um deles.

10. Cooperação com linhas de apoio nacionais e aplicação da lei

Trabalhamos com linhas de apoio nacionais de segurança infantil e órgãos de aplicação da lei no modelo de cooperação em vez de divulgação automática. Concretamente:

Não nos engajamos em: - varredura em massa de conteúdo em texto simples (porque não temos texto simples para varrer — Seção 3, Seção 5.3); - introdução de qualquer backdoor, custódia de chave, ou mecanismo sub-rosa de divulgação de chave no design de criptografia do Balance; - venda, locação, ou compartilhamento de dados de usuários com qualquer serviço comercial de inteligência.

11. Revisão anual, relatório de transparência, e atualizações a este Padrão

O Oficial de Segurança Infantil (Seção 2) revisa este Padrão pelo menos uma vez por ano, até 9 de junho de cada ano, e após qualquer alteração material na superfície do produto Balance, na lista de subprocessadores, ou na lei de um país. A revisão cobre:

Após cada revisão anual, publicamos um Relatório de Transparência em child-safety.html junto com este Padrão. O Relatório contém, para os 12 meses anteriores:

O primeiro Relatório de Transparência é devido até 9 de junho de 2027.

Atualizações materiais a este Padrão são notificadas no aplicativo na próxima abertura, por e-mail ao responsável na conta, e através de uma data atualizada de "Última atualização" e um diff seção-por-seção na página pública. Atualizações não materiais (correções de digitação, esclarecimentos menores, alterações de URL) são feitas silenciosamente com uma atualização de data.

12. Como responsáveis e crianças podem pedir ajuda

Se você está lendo este Padrão porque algo aconteceu na sua família que você não sabe como lidar, por favor, entre em contato — mesmo que você não tenha certeza se o que você observou conta como um problema do Balance, um problema do lado do responsável, ou um problema de segurança mais amplo. Nosso Oficial de Segurança Infantil é a pessoa certa para triar isso.

Muitos países também oferecem linhas de apoio independentes de segurança infantil fora de qualquer aplicativo específico. Listamos as mais usadas em nosso conjunto de anexos de país, incluindo a NCMEC CyberTipline dos EUA (1-800-843-5678; https://report.cybertipline.org), a Childline do Reino Unido (0800 1111; https://www.childline.org.uk), a família de linhas de apoio infantil 116 111 da UE, e as linhas nacionais equivalentes em todos os outros países. Encorajamos fortemente os responsáveis a usar essas linhas de apoio para situações mais amplas do que o Serviço Balance.

13. Anexos de país

As rotas de denúncia de segurança infantil específicas de cada país, os contatos de linhas de apoio, e quaisquer regras processuais específicas de cada país são publicados no conjunto de anexos de país que acompanha este Padrão em child-safety.html. O conjunto de anexos cobre:

Territórios herdados seguem o anexo do país-mãe (consistente com a Seção 18 da Política de Privacidade e a Seção 14 do Aviso de Privacidade Infantil).

14. Contatos de referência rápida

Fim dos Padrões de Segurança Infantil.

Last updated: 19 July 2026 (v1.3)